1. [기사] 최종 2017 버전 OWASP Top 10 발표
[http://www.securityweek.com/final-version-2017-owasp-top-10-released?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Securityweek+%28SecurityWeek+RSS+Feed%29&utm_content=FeedBurner]

금주 월요일 드디어 Open Web Application Security Project(OWASP) 의 최종본이 발표되었고, 일부 취약점의 경우는 더이상 존재하지 않는것으로 판명되어 더 중요한 취약점으로 대체되었다. OWASP는 최초 후보목록을 금년 4월에 발표했었으며 지속적으로 무슨 항목이 들어가야되는지에 대해서 논란이 많았다. 한가지 가장 중요한 변화는 2013년에 발표한 4번째항목(Insecure Direct Object References)와 7번째항목(Missing Function Level contr)이 병합되어 하나의 항목이 되었으며 3가지 새로운 항목이 추가되었다. OWASP는 XSS 취약점이 Injection의 일부로 분류될 수 있지만, 처리되는 방식이 달라 지난번과 같이 분리하여 분류하도록 하였다. 또한 크로스 사이트 요청 변조(CSRF)의 경우는 현대 개발 프레임워크가 해당 취약 사실을 회피할 수 있도록 준비되어있기 때문에 목록에서 삭제되었다. 병합과 삭제로 생겨진 세 빈자리는 XXS, Insecure Deserialization, Insufficient Logging and monitoring로 채워졌다. 한편 2017년 OWASP는 114,000명 이상의 지원자와 23개의 기여모임에 의해 조사되었다. 

2. [기사] 구글, 안드로이드 사용자 동의 없이 위치 정보 수집
[https://thehackernews.com/2017/11/android-location-tracking.html]
수많은 안드로이드 스마트폰 사용자들의 위치 정보가 사용자 허가 없이 구글로 전송되고 있었다는 것이 밝혀졌다. 구글은 금년초를 시작으로 모든 안드로이드 사용자들의 위치를 수집하고 있었다고 조사자 Quartz는 말하고 있다. 이 위치 수집 기능은 사용자들이 사용자 스마트폰의 어떤 앱을 실행하도록 하지 않아도 되며, 특히 위치 서비스를 허용하지 않아도 인터넷만 연결되어있으면 위치정보가 전송된다. Quartz의 조사에 따르면, 스마트폰이 기지국 근처의 주소를 모드 수집해, Cell Tower Triangulation 이라는 기술에 사용되는 것으로 밝혀졌다. 이 기술은 기지국 근처의 3개이상 단말기의 위치 데이터를 이용하여 해당 지역 확인에 널리 사용되는 기법이다. Quartz가 이 사실을 확인 한 뒤 구글에 연락을 했을 때 구글 대변인은 데이터 전송속도 및 수행도를 향상시키기 위해 해당 기법을 사용하고 있다고 말했다

.

3. [기사] 시만텍, Management Console 내부 취약점 패치
[http://www.securityweek.com/symantec-patches-vulnerability-management-console?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Securityweek+%28SecurityWeek+RSS+Feed%29&utm_content=FeedBurner]

시만텍은 Management Console 내부에 존재하는 디렉터리 접근 공격 (Directory Traversal) 취약점을 해결하기 위해 패치를 발표했다.
CVE-2017-15527로 분류되는 이 취약점은, CVSS 점수 7.6점으로 시만텍은 해당 업데이트를 월요일에 공개했다. 디렉터리 접근 공격은 사용자 입력 파일 이름이 적절히 검사되지 않았을 때 발생하는 일종의 공격기법이다. 이 공격을 악용하면 외부 공격자는 타겟이 된 장치의 파일 시스템 접근 권한을 획득할 수 있다. 시만텍 대변인은 해당 문제가 제품 팀엔지니어에 의해 해결됐으며 리스크를 최소화 하기 위해서 모든 사용자는 업데이트를 하도록 권고하고있다.

4. [기사] 북한 해커, 한국 안드로이드 사용자 대상으로 안드로이드 악성 코드 유포
[http://www.securityweek.com/north-korean-hackers-target-android-users-south?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Securityweek+%28SecurityWeek+RSS+Feed%29&utm_content=FeedBurner]

[http://www.boannews.com/media/view.asp?idx=58148&mkind=1&kind=1]

일부 사이버보안 회사가 많은 북한 해킹 전문가들이 속해있는 Lazarus Threat 그룹이 한국의 스마트폰 사용자를 대상으로 새로운 종류의 멀웨어를 사용하고 있다고 말하고있다. McAfee와 Palo Alto 모두 지난 월요일 Hidden Cobra로 알려진 위협을 블로그에 업로드하면서 해당 사실을 설명했다. 해당 멀웨어는 구글플레이 스토어에 GODpeople이라는 이름으로 존재하는 성경 애플리케이션을 모방하도록 만들어졌다. 그러나 이 악의적인 응용 프로그램은 공식 앱 스토어에 현재까지 배포되지 않았으며, 어떤 배포 방법을 사용했는지 아직까지 밝혀진바가 없다. 악성 코드가 백도어 실행 에 이용되며, 링크 가능 형식(ELF)파일로 제공된다. 백도어는 해커가 감염된 장치에 대한 정보를 수집하고 파일을 다운로드 및 업로드하며 명령을 실행 할 수 있도록 한다. 악성코드가 사용하는 C&C 서버 목록에는 이전 Lazarus Threat 그룹에 연결된 IP 주소가 포함 되어 있다.

5. [기사] 실제 침해사고에 악용된 어도비 보안취약점 공개돼...주의 
[http://www.dailysecu.com/?mod=news&act=articleView&idxno=26070]
어도비는 자사 어도비 플래시 플레이어(Adobe Flash Player)에 영향을 미치는 Type Confusion 취약점을 해결한 보안 업데이트를 발표했다. 공격자는 해당 취약점을 악용해 악성 코드 감염 등의 피해를 발생시킬 수 있어 해당 제품을 사용하는 이용자들은 최신 버전으로 신속하게 업데이트 해야 한다. 특히 해당 취약점은 실제 침해사고에 악용된 사례가 있어 이용자들의 각별한 주의와 적극적인 대처가 필요하다.

 
6. [기사] 갑자기 증가하고 있는 애드윈드 공격 캠페인 주의보
[http://www.boannews.com/media/view.asp?idx=58147&mkind=1&kind=1]
애드윈드(Adwind) 혹은 에얼리언스파이(AlienSpy)라는 멀웨어가 피싱 캠페인을 통해 번지고 있는 현상이 발견됐다. 이 공격은 10월에 최초로 발견됐고, 현재까지도 진행 중이다. 애드윈드 자체는 적어도 2012년부터 발견되어 온 것으로, 추가 멀웨어 설치, 정보 탈취, 키스트로크 로깅, 스크린샷 캡처, 영상 및 음성 정보 저장 등의 기능을 수행하는 백도어다. 카스퍼스키에 의하면 애드윈드는 유료 서비스 형태로 배포된다고 한다. 즉, 범죄자들이 멀웨어를 돈을 주고 구입해 독자적으로 사용한다는 것이다. 이러한 ‘고객’들이 2015년 말까지 적어도 1800명에 달했다. 그 1800명은 2015년 말까지 최소 443,000개의 대상들을 공격한 것으로 집계된다.